VoidAccess mang đến thông tin tình báo mối đe dọa tự lưu trữ và AI cục bộ cho các nhà nghiên cứu bảo mật

Các nhà nghiên cứu bảo mật và đội ngũ IT quản lý hạ tầng riêng giờ đây đã có thêm một lựa chọn để tổ chức thông tin tình báo về mối đe dọa phức tạp. VoidAccess, ra mắt vào cuối tháng 10 năm 2026, là một nền tảng tự lưu trữ (self-hosted) được thiết kế để tổng hợp dữ liệu từ cả web công khai và các nguồn truy cập qua Tor. Mục tiêu của nó là thay thế các tab trình duyệt rải rác bằng một giao diện thống nhất để theo dõi tên miền, địa chỉ IP và các chỉ dấu phần mềm độc hại.

Chuyện gì đã xảy ra

VoidAccess giải quyết vấn đề phổ biến là bằng chứng bị phân mảnh trong quá trình điều tra bảo mật. Thay vì phải đối chiếu thủ công các báo cáo rời rạc, công cụ này truy vấn nhiều nguồn cùng lúc. Nó trích xuất các chỉ dấu kỹ thuật như hash file, tên miền và các tham chiếu mối đe dọa đã biết. Hệ thống sau đó sắp xếp những phát hiện này thành các đồ thị quan hệ, cho phép các nhà phân tích trực quan hóa kết nối giữa các phần khác nhau của hạ tầng mà không cần liên tục chuyển đổi ngữ cảnh.

Phần mềm được xây dựng cho các cuộc điều tra được ủy quyền và nhấn mạnh vào chủ quyền dữ liệu. Bằng cách chạy stack cục bộ, các đội ngũ giữ nguyên phạm vi truy vấn và kết quả nghiên cứu trong ranh giới mạng nội bộ của họ. Công cụ hỗ trợ xuất dữ liệu dưới các định dạng chuẩn ngành như STIX và MISP, cũng như các tệp CSV và Markdown đơn giản hơn, đảm bảo rằng thông tin tình báo thu thập được có thể tích hợp vào các quy trình làm việc bảo mật hiện có hoặc chia sẻ với các bên liên quan phù hợp.

Chi tiết chính

• VoidAccess là một dự án được cấp phép MIT với chính sách bảo mật được tài liệu hóa và hướng dẫn tự lưu trữ.
• Triển khai chính thức sử dụng Docker Compose để chạy bốn dịch vụ: PostgreSQL, Tor, backend FastAPI và frontend Next.js.
• Có sẵn giao diện dòng lệnh Python cho người dùng thích quy trình làm việc dựa trên terminal hơn là giao diện web.
• Nền tảng hỗ trợ xử lý AI cục bộ thông qua Ollama, cho phép diễn giải các phát hiện mà không cần gửi dữ liệu đến các nhà cung cấp thương mại bên ngoài.
• Các dịch vụ làm giàu dữ liệu bên ngoài yêu cầu API key là tùy chọn và có thể tắt để duy trì chế độ phân tích hoàn toàn ngoại tuyến cho thành phần AI.
• Trình hướng dẫn cài đặt tự động tạo các bí mật ứng dụng và thông tin đăng nhập cơ sở dữ liệu để đơn giản hóa cấu hình ban đầu.

Bối cảnh

Thông tin tình báo về mối đe dọa thường liên quan đến việc tương quan các điểm dữ liệu rời rạc để xác định các tác nhân độc hại hoặc hệ thống bị xâm phạm. Theo truyền thống, điều này đòi hỏi truy cập vào nhiều nguồn cấp dữ liệu công khai, báo cáo riêng tư và đôi khi là các nguồn dark web. Thực hiện việc này thủ công tốn thời gian và dễ mắc lỗi. Việc tự lưu trữ các công cụ như vậy cho phép các tổ chức duy trì quyền kiểm soát dữ liệu nhạy cảm, đảm bảo chi tiết điều tra không bị rò rỉ sang các nền tảng SaaS của bên thứ ba.

VoidAccess tận dụng các công nghệ web hiện đại để tách lớp thu thập khỏi lớp hiển thị. Backend xử lý các tác vụ nặng như truy vấn mạng Tor và phân tích các nguồn cấp dữ liệu bảo mật, trong khi frontend cung cấp giao diện đồ thị trực quan. Kiến trúc này phổ biến trong các stack DevOps hiện đại, nơi các dịch vụ được container hóa để dễ dàng quản lý và cô lập. Việc bao gồm các mô hình AI cục bộ phản ánh xu hướng ngày càng tăng trong phần mềm tập trung vào quyền riêng tư, nơi các tác vụ tính toán được thực hiện on-premise để tránh rủi ro rò rỉ dữ liệu.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành phần mềm riêng, việc duy trì quyền kiểm soát dữ liệu nghiên cứu bảo mật là rất quan trọng. Sử dụng các nền tảng thông tin tình báo về mối đe dọa dựa trên đám mây thường đồng nghĩa với việc gửi các chỉ dấu xâm nhập nội bộ đến máy chủ bên ngoài. VoidAccess cho phép các đội ngũ này tiến hành các cuộc điều tra sâu mà không phơi bày các mục tiêu hoặc phát hiện cụ thể của họ cho bên thứ ba. Điều này đặc biệt quan trọng đối với các ngành có yêu cầu tuân thủ nghiêm ngặt hoặc những ngành xử lý tài sản trí tuệ cực kỳ nhạy cảm.

Khả năng trực quan hóa mối quan hệ giữa các mối đe dọa giúp các nhà phân tích ưu tiên nỗ lực phản hồi của họ. Một danh sách đơn giản các IP đáng ngờ có thể không tiết lộ một chiến dịch rộng lớn hơn, nhưng một đồ thị cho thấy hạ tầng chung có thể làm nổi bật một cuộc tấn công phối hợp. Tuy nhiên, tài liệu của công cụ cảnh báo rằng những kết nối này không phải là bằng chứng về quyền sở hữu. Hosting chung và hạ tầng tái sử dụng có thể tạo ra dương tính giả, nên việc xác minh bởi con người vẫn là yếu tố then chốt. Công cụ đóng vai trò là trợ giúp cho việc ra quyết định, không phải là một thẩm quyền tự động.

Hơn nữa, tùy chọn sử dụng các mô hình AI cục bộ giúp giảm chi phí vận hành và lo ngại về quyền riêng tư. Các đội ngũ có thể tận dụng các mô hình ngôn ngữ lớn để tóm tắt phát hiện hoặc đề xuất các bước tiếp theo mà không phải chịu phí theo token hoặc gặp rủi ro rò rỉ dữ liệu. Điều này làm cho việc phân tích nâng cao trở nên dễ tiếp cận hơn với các đội ngũ nhỏ hơn hoặc những người đam mê homelab, những người có thể không có ngân sách cho các bộ bảo mật doanh nghiệp.

Bạn có thể làm gì

• Xem xét kho GitHub của VoidAccess và đọc kỹ tài liệu tự lưu trữ trước khi triển khai.
• Triển khai công cụ trên một đoạn mạng hạn chế thay vì phơi bày nó trực tiếp ra internet công cộng thông qua reverse proxy.
• Cấu hình trình hướng dẫn cài đặt để tạo các bí mật mạnh và duy nhất cho cơ sở dữ liệu và xác thực API.
• Thử nghiệm giao diện dòng lệnh Python nếu đội ngũ của bạn thích các quy trình điều tra có thể script hóa, dựa trên terminal.
• Thiết lập Ollama cục bộ nếu bạn muốn hỗ trợ AI, đảm bảo bạn hiểu rõ các yêu cầu tài nguyên để chạy các mô hình cục bộ.
• Coi tất cả các giải thích do AI tạo ra và các kết nối đồ thị là những manh mối cần xác minh thủ công, không phải là kết luận dứt khoát.